[发明专利]一种HFS+文件系统数据恢复方法及装置

权利要求书

1.一种HFS+文件系统数据恢复方法，其特征在于，包括以下步骤：

A、以扇区为单位对存储介质中的文件进行扫描；

B、从被扫描文件中查找卷头，如果查找到所述卷头，执行步骤C，否则执行步骤A，扫描下一扇区；

C、根据头节点的节点描述符中的各字段和头档案中的各字段,从所查找到的所述卷头所对应的目录文件中查找头节点，如果查找到头节点，则执行步骤F，否则执行步骤D；

D、判断所述卷头是否是备份卷头，如果是备份卷头，执行步骤E，否则执行步骤A，扫描下一扇区；

E、根据所述备份卷头的位置逆推出所述卷头的位置，再根据所述卷头位置和备份卷头的各个字段定位头节点，如果定位到头节点，则执行步骤F，否则执行步骤A，扫描下一扇区；

F、遍历所有定位到的头节点中所包含的B-树，得到其中的文件和目录信息，恢复文件数据。

2.根据权利要求1所述的HFS+文件系统数据恢复方法，其特征在于，所述步骤B中，查找所述卷头时，判断文件的卷头签名，如果所述文件的卷头签名16进制为0x482b、且版本等于4，或者所述文件的卷头签名16进制为0x4858、且版本等于5，则为所述卷头。

3.根据权利要求2所述的HFS+文件系统数据恢复方法，其特征在于，所述步骤B还包括以下步骤的任意一个或并列多个：

步骤B1、判断文件的卷属性，如果所述卷属性等于0x80002000或者等于0x80000000，则为所述卷头，执行步骤C，否则执行步骤A，扫描下一扇区；

步骤B2、判断文件的最后装载版本，如果所述最后装载版本16进制为0x4846534a或者0x46534b21，则为所述卷头，执行步骤C，否则执行步骤A，扫描下一扇区；

步骤B3、判断文件的创建日期，如果所述创建日期不等于0、且修改日期不等于0、且校验日期不等于0，则为所述卷头，执行步骤C，否则执行步骤A，扫描下一扇区；

步骤B4、判断文件的分配块大小，如果所述分配块大小等于0x1000、且资源叉默认块组大小等于0x10000、且数据叉默认块组大小等于0x10000，则为所述卷头，执行步骤C，否则执行步骤A，扫描下一扇区；

步骤B5、判断文件中的分配文件、域溢出文件、目录文件、属性文件和启动文件，如果所述分配文件、域溢出文件、目录文件、属性文件和启动文件的逻辑大小等于分配块大小乘以总块数、且域描述符的分配块数的总和等于总块数。

4.根据权利要求1所述的HFS+文件系统数据恢复方法，其特征在于，所述步骤C中，查找所述头节点方法为：

判断所述头节点的节点描述符中的各字段和所述头节点的头档案的各字段，如果所述头节点的节点描述符中的上一个节点号等于 0、节点类型等于1、节点高度等于0、档案数等于3以及保留字段等于0；

且所述头节点的头档案的根节点号大于0且小于节点总数、未使用节点数小于节点总数、第一个叶节点号小于节点总数、最后一个叶节点号以及小于节点总数，则认为是所述头节点。

5.根据权利要求4所述的HFS+文件系统数据恢复方法，其特征在于，所述步骤C中，所述头节点的头档案还需要满足以下任意一个或多个条件：

节点大小介于512与32768之间；

节点类型为0；

树最大高度大于0且小于16。

6.根据权利要求1所述的HFS+文件系统数据恢复方法，其特征在于，所述步骤F包括步骤：

F1、查找叶节点，从所述头节点的开始偏移处读出B-树的每个节点，判断所读出节点的节点描述符的各字段，如果所读出节点的节点描述符的节点类型等于-1、节点高度小于16、且保留字段等于0，则判断为所述叶节点，执行步骤F2；

F2、恢复文件数据，解析所述叶节点中记录的档案信息，分解出目录档案项和文件档案项，根据所述文件档案项中的数据叉记录的位置信息和大小信息恢复文件。

7.根据权利要求6所述的HFS+文件系统数据恢复方法，其特征在于，所述步骤F1中，查找所述叶节点还需满足以下任意一个条件或两个条件：

所读出节点的节点描述符的下一个节点小于或等于头节点的头档案的节点总数；

所读出节点的上一个节点号小于或等于头节点的头档案的节点总数。